#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
BigBear 2.0 — это операция по модели «Фишинг как услуга» на базе Evilginx2, нацеленная на Microsoft 365 с использованием прокси-серверов по схеме «противник в середине» (adversary-in-the-middle). Она обходит многие методы многофакторной аутентификации (MFA), перехватывая аутентифицированные сессионные cookie и токены, что обеспечивает доступ к облачным сервисам без повторной аутентификации. Многонаёмная инфраструктура использует резидентные прокси, фильтрацию IP-адресов, манипуляции с JavaScript, эксфильтрацию данных через Телеграм и массовое воспроизведение cookie.
-----

В июне 2026 года операция BigBear 2.0 была идентифицирована как переименованная платформа Фишинг как услуга на базе Evilginx2, нацеленная на Microsoft 365. Её стандартный фишинговый модуль «offy» выступает в роли прокси-сервера «противник в середине» для аутентификации Microsoft OAuth, перенаправляя трафик между жертвами и `login.microsoftonline.com`. В инфраструктуре использовались DNS-записи с подстановочным символом, автоматически выпускаемые сертификаты Let’s Encrypt и 42 VPS-узла, преимущественно размещённые на Vultr. Панель управления зафиксировала 5137 записей, связанных с учётными данными, от 3331 уникальных IP-адресов жертв более чем из 40 стран, включая 474 завершённые сессии аутентификации с обходом MFA, 1032 пароля в открытом виде и 4148 файлов cookie сессии.

В ходе кампании перехватывались аутентификационные cookie-файлы после завершения многофакторной аутентификации (MFA) жертвами, что позволяло злоумышленникам воспроизводить сессии в Outlook, Teams, SharePoint, OneDrive, Entra ID и связанных SaaS-приложениях без необходимости повторного события аутентификации. MFA на основе TOTP, push-уведомлений, SMS и голосовых вызовов остаётся уязвимым, поскольку прокси-сервер ожидает валидации фактора со стороны Microsoft, а затем перехватывает сформированный токен сессии. FIDO2/WebAuthn обеспечивает более высокую устойчивость, поскольку его криптографическое утверждение привязано к легитимному источнику аутентификации. Перехваченные сессии также могут содержать токены обновления, что потенциально позволяет продлевать доступ примерно на 90 дней с помощью скользящего обновления.

BigBear 2.0 использовал 69 пулов резидентных прокси, специфичных для отдельных стран, для соответствия предполагаемому местоположению жертвы и снижения вероятности обнаружения географических аномалий. Кроме того, IP-адреса посетителей проверялись через `ipapi.is` для блокировки трафика от дата-центров, VPN и прокси, что усложняло автоматизированный анализ. По имеющимся данным, внедрение пользовательского JavaScript-кода изменяло поведение аутентификации, включая попытки направить пользователей к более слабым методам аутентификации, не устойчивым к фишингу. Перехваченные учетные данные и файлы cookie автоматически отправлялись на управляемые аффилиатами боты в Телеграм, а API для повторного использования файлов cookie позволяло массово перехватывать сессии. Как минимум пять операторов-аффилиатов использовали отдельные токены ботов и группы VPS, что соответствует модели PhaaS с многонаемантовым доступом.

Кампания затронула 438 доменов, при этом наиболее пострадавшими секторами стали ИТ-услуги и управляемые сервисные провайдеры. Компрометированные учетные записи могли использоваться для реализации атак на компрометацию корпоративной электронной почты (BEC), внутреннего фишинга, доступа к облачным ресурсам, кражи данных и внедрения программ-вымогателей. С конца июля 2026 года с панели управления было удалено 26 VPS-узлов, что свидетельствует о проведении контркриминалистической деятельности. Возможности обнаружения включают имена файлов cookie Evilginx/BigBear, заголовки `x-evg-`, соединения с известной инфраструктурой, а также исходящие запросы к API Телеграм, содержащие пароли, учетные данные, файлы cookie или данные сессий.